Exposure management

Funciona como un bucle y no como un informe. El alcance decide qué parte del parque se está examinando y qué contaría como un mal día para el negocio. El descubrimiento encuentra los activos y sus vulnerabilidades. La priorización los ordena usando a la vez severidad, explotabilidad y contexto de negocio, en lugar de solo severidad. La validación comprueba si los elementos ordenados son explotables de verdad en este entorno. La movilización mete el trabajo en los equipos que son dueños de los sistemas, con responsables y con fechas.

Las dos etapas que marcan la diferencia son la validación y la movilización, y son justo las dos que casi todos los programas se saltan. Sin validación, la cola es teórica. Sin movilización, la cola es un documento.

Hay tres fronteras que se difuminan, y difuminarlas es la forma de que un cliente acabe comprando lo mismo tres veces. El attack surface management contesta qué está expuesto. La gestión de vulnerabilidades contesta qué falla en las cosas que ya conocemos. La gestión de la exposición contesta cuáles de esas se podrían usar de verdad contra nosotros y en qué orden las arreglamos.

El fallo práctico es priorizar solo por severidad. Un fallo grave en un servicio que no es alcanzable, que necesita una cuenta local y que está detrás de un proxy que autentica no es el primer trabajo; un fallo medio en un endpoint sin autenticar expuesto a internet y con código de exploit público sí lo es. Combinar la puntuación con la probabilidad de explotación de EPSS, con la explotación confirmada del catálogo KEV y con tu propia alcanzabilidad es el sentido entero de esta disciplina, y es lo que una cola ordenada solo por CVSS no sabe expresar.

Normalmente se nos contrata como la etapa de validación. El proyecto toma la lista ordenada del cliente y contesta una pregunta estrecha para cada elemento: si se puede explotar aquí, por un atacante en la posición que estamos simulando, y a dónde lleva. El informe se escribe para que lo pueda usar la etapa de movilización, así que cada hallazgo lleva una descripción dirigida a quien es dueño del sistema y un paso de verificación para el retest, y los elementos que no hemos podido explotar se dicen como tales en vez de desaparecer en silencio. Esto forma parte de cómo la validación convierte una lista de hallazgos en un orden de trabajo.